مخترقون تابعون للحزب الشيوعي الصيني اختبأوا داخل شبكات الحكومة الأمريكية لدى F5 لسنوات

وفقاً لبلومبرغ، اخترق مخترقون مرتبطون بوحدات سيبرانية مدعومة من الدولة الصينية شبكات F5 الداخلية في أواخر عام 2023 وبقيوا مخبئين حتى أغسطس من هذا العام.

أقرت شركة الأمن السيبراني المستندة إلى سياتل في filings بأن أنظمتها قد تم اختراقها لمدة عامين تقريباً، مما سمح للمهاجمين بـ "الوصول المستمر والطويل الأمد" إلى بنيتها التحتية الداخلية.

كشفت الاختراق reportedly عن شفرة المصدر، وبيانات التكوين الحساسة، ومعلومات حول ثغرات برمجية غير معلنة في منصة BIG-IP الخاصة بها، وهي تقنية تعمل على تشغيل شبكات 85٪ من شركات فورتشن 500 والعديد من الوكالات الفيدرالية الأمريكية.

دخل المخترقون عبر برمجيات F5 الخاصة بها، والتي كانت مكشوفة عبر الإنترنت بعد أن فشل الموظفون في اتباع سياسات الأمان الداخلية. استغل المهاجمون هذه النقطة الضعيفة للدخول والتجول بحرية داخل الأنظمة التي كان يجب أن تكون مقفلة.

أخبرت شركة F5 عملاءها بأن الإهمال هذا ينتهك مباشرة نفس الإرشادات السيبرانية التي تعلمها الشركة لعملائها لاتباعها. عندما انتشرت الأخبار، انخفضت أسهم F5 بأكثر من 10٪ في 16 أكتوبر، مما محى ملايين الدولارات من قيمة السوق.

"بما أن معلومات هذا الثغرة متاحة للجميع، يجب على كل شخص يستخدم F5 أن يفترض أنه قد تم اختراقه،" قال كريس وودز، المدير التنفيذي السابق للأمن في شركة إتش بي، والمؤسس الآن لشركة سايركيو جروب المحدودة، وهي شركة خدمات أمن سيبراني في المملكة المتحدة.

استخدم المخترقون تقنية F5 الخاصة بهم للحفاظ على التخفي والتحكم

أرسلت F5 إلى العملاء يوم الأربعاء دليلاً للبحث عن التهديدات لنوع من البرمجيات الخبيثة يُسمى Brickstorm يستخدمه مخترقون مدعومون من الدولة الصينية، وفقاً لبلومبرغ.

أكدت مانديانت، التي تم تعيينها من قبل F5، أن Brickstorm سمح للمخترقين بالتحرك بهدوء عبر آلات VMware الافتراضية والبنية التحتية الأعمق. بعد تأمين موطئ قدمهم، بقي المتسللون غير نشطين لأكثر من عام، وهي تكتيك قديم لكنه فعال مصمم لتجاوز فترة الاحتفاظ بسجلات أمان الشركة.

تُحذف السجلات، التي تسجل كل أثر رقمي، غالباً بعد 12 شهراً لتوفير التكاليف. بمجرد اختفاء تلك السجلات، أعاد المخترقون تنشيطهم وسحبوا البيانات من BIG-IP، بما في ذلك شفرة المصدر وتقارير الثغرات.

قالت F5 إنه على الرغم من وصول بعض بيانات العملاء، فإنها لا تملك أدلة حقيقية على أن المخترقين غيروا شفرة المصدر الخاصة بها أو استخدموا المعلومات المسروقة لاستغلال العملاء.

تعالج منصة BIG-IP من F5 موازنة الحمل والأمن الشبكي، وتوجيه حركة المرور الرقمية وحماية الأنظمة من الاختراق.

الحكومتان الأمريكية والبريطانية تصدران تحذيرات طارئة

وصفت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) الحادث بأنه "تهديد سيبراني كبير يستهدف الشبكات الفيدرالية." وفي توجيه طارئ صدر يوم الأربعاء، أمرت CISA جميع الوكالات الفيدرالية بتحديد منتجات F5 وتحديثها بحلول 22 أكتوبر.

أصدر المركز الوطني للأمن السيبراني في المملكة المتحدة أيضاً تحذيراً بشأن الاختراق يوم الأربعاء، محذراً من أن المخترقين يمكنهم استخدام وصولهم إلى أنظمة F5 لاستغلال تقنية الشركة وتحديد ثغرات إضافية.

بعد الإفصاح، عقد رئيس F5 التنفيذي، فرانسوا لوكوه-دونو، اجتماعات مع العملاء لشرح نطاق الاختراق. وأكد فرانسوا أن الشركة قد استدعت كراودسترايك ومانديانت التابعة لجوجل للمساعدة جنباً إلى جنب مع إنفاذ القانون ومحققي الحكومة.

أفاد مسؤولون مطلعون على التحقيق reportedly لبلومبرغ بأن الحكومة الصينية تقف وراء الهجوم. لكن متحدثاً صينياً رفض الاتهام بوصفه "غير مبرر ومُقدم دون أدلة."

قال إيليا رابينوفيتش، نائب رئيس الاستشارات الأمنية السيبرانية في سيغنيا، إنه في حالة سيغنيا التي كشفت عنها العام الماضي، اختبأ المخترقون داخل أجهزة F5 واستخدموها كقاعدة "أمر وتحكم" للاختراق في شبكات الضحايا دون اكتشاف. وقال: "هناك احتمال أن يتطور الأمر إلى شيء ضخم، لأن العديد من المنظمات تنشر تلك الأجهزة."